Aktuelles

Elementor Pro: Sechs Millionen Websites offen für PHP-Uploads ohne Login

Ein leeres Dateifeld, zwei Schleifen, die sich nicht einig sind - und schon liegt fremder PHP-Code in einem öffentlichen Ordner. CVE-2026-32475 zeigt mal wieder, wie unspektakulär eine kritische Lücke aussehen kann.

Manchmal braucht es keinen exotischen Zero-Day mit Codenamen und eigenem Logo, um halb WordPress ins Schwitzen zu bringen. Manchmal reicht ein Formularfeld, das niemand als „Pflichtfeld“ markiert hat. Genau das ist gerade Elementor Pro passiert, dem Premium-Ableger des mit Abstand beliebtesten Page-Builders für WordPress. Betroffen sind alle Versionen bis einschließlich 4.2.1 - nach Herstellerangaben rund sechs Millionen aktive Installationen. Wer betreut, wartet, entwickelt oder einfach nur eine Website mit Elementor Pro besitzt, sollte jetzt kurz aufhorchen.

Was genau kaputt war

Die Schwachstelle trägt die Bezeichnung CVE-2026-32475 und wird mit einem CVSS-Wert von 9,0 von 10 als kritisch eingestuft. Sie steckt im Forms-Modul von Elementor Pro, genauer im „File Upload“-Feld, das in unzähligen Kontaktformularen, Bewerbungsseiten und Support-Tickets verbaut ist. Der Fehler liegt an einer Stelle, die auf den ersten Blick völlig harmlos wirkt: Validierung und Verarbeitung eines Uploads laufen in zwei getrennten Schleifen - und die beiden sind sich nicht einig, was mit einem leeren Dateieintrag passieren soll.

Schickt ein Angreifer einen mehrteiligen Upload, bei dem der erste Teil einen leeren Dateinamen hat, gefolgt von einer bösartigen PHP-Datei, bricht die Validierungsschleife an dieser Stelle einfach komplett ab - sie hätte den leeren Eintrag überspringen sollen, tut es aber nicht. Die Verarbeitungsschleife bekommt davon nichts mit und verschiebt die PHP-Datei brav in ein öffentlich erreichbares Verzeichnis: wp-content/uploads/elementor/forms/<uniqid>.php. Fertig ist die Remote Code Execution, ganz ohne Login, ganz ohne Klick eines Opfers.

Die eine Voraussetzung, die zählt: Es genügt eine einzige veröffentlichte Seite mit einem Elementor-Formular, das ein Datei-Upload-Feld enthält - und der Schalter „Pflichtfeld“ steht standardmäßig auf Aus. Also genau der Zustand, den die meisten Formulare ab Werk haben.

Pikant wird es beim Dateinamen: Der wird über PHP's uniqid() erzeugt - was nach Zufall klingt, aber in Wahrheit zeitbasiert ist. Ein Angreifer kann den Dateinamen der eigenen Payload also per Timing-Bruteforce eingrenzen, in manchen Konfigurationen verrät ihn sogar eine automatische Antwortmail direkt mit.

Die Lücke im Überblick

34 Tage zwischen Patch und Release

Was die Geschichte zusätzlich unbequem macht: Der Fehler wurde Patchstack bereits am 16. Juli 2026 gemeldet, entdeckt von Sicherheitsforscher Tin Pham. Elementor hatte einen fertigen Patch schon am Folgetag vorliegen - veröffentlicht wurde Version 4.2.2 aber erst am 19. August. Über einen Monat lang existierte also ein funktionierender Fix, während sechs Millionen Installationen weiter offen dastanden. Parallel meldete sich unabhängig ein zweiter Forscher über Wordfence mit demselben Fund, dessen zunächst reservierte CVE-Nummer danach zugunsten der Patchstack-ID zurückgezogen wurde.

Im offiziellen Elementor-Pro-Änderungsprotokoll zu 4.2.2 steht dazu übrigens nur ein dezenter Halbsatz: „Improved code security enforcement in Form widget“. Keine CVE-Nummer, kein Schweregrad, kein Hinweis darauf, dass hier gerade eine Vorstufe zur kompletten Serverübernahme geschlossen wurde. Transparenz sieht anders aus - aber das ist bei Sicherheitsupdates in der Plugin-Welt eher Regel als Ausnahme.

Und noch ein Nachbar: WordPress Core selbst

Wer gerade erst durchatmet, sollte kurz innehalten: Nur gut eine Woche zuvor hatte WordPress Core mit Version 7.0.4 eine eigene kritische Lücke geschlossen (CVE-2026-65640, CVSS 8,8), über die Autoren-Accounts per manipuliertem Postscript-Upload und Ghostscript-Verarbeitung ebenfalls Code ausführen konnten - wir haben berichtet. Zwei völlig unabhängige Bugs, dasselbe Muster: Upload rein, Verarbeitung durch eine weitere Komponente, Ausführung raus. Wer WordPress betreibt, sollte diesen Monat also ohnehin zweimal ins Backend schauen.

Was jetzt zu tun ist

• Sofort aktualisieren: Elementor Pro auf Version 4.2.2 oder neuer bringen - Elementor Pro ist lizenzpflichtig, das Update zieht sich also nicht automatisch, sondern muss aktiv angestoßen werden.
• Verzeichnis prüfen: wp-content/uploads/elementor/forms/ nach unerwarteten .php-Dateien durchsuchen.
• Logs checken: Zugriffe auf admin-ajax.php mit dem Parameter elementor_pro_forms_send_form sowie nachfolgende GET-Requests in das Uploads-Verzeichnis kontrollieren.
• Formulare durchsehen: Prüfen, welche Formulare überhaupt ein Datei-Upload-Feld brauchen - und es dort entfernen, wo es nicht zwingend nötig ist.
• WordPress Core nicht vergessen: Parallel auf Version 7.0.4 aktualisieren, falls noch nicht geschehen.

24.08.2026